RODO w restauracji 2026: QR, WhatsApp, mailing

Klient siada przy stoliku, skanuje QR kod, otwiera menu w przeglądarce. Następnie pisze przez WhatsApp do restauracji "macie kawę bez laktozy?" (a Ty powinieneś wiedzieć, jak prawidłowo oznaczać alergeny w menu). Po wyjściu zapisujesz jego numer w bazie newsletterowej. Z punktu widzenia gościa to wygodna usługa. Z punktu widzenia RODO - 3 odrębne procesy przetwarzania danych osobowych, z których każdy wymaga osobnej podstawy prawnej i osobnej informacji dla klienta.

Ten wpis nie tłumaczy RODO od podstaw. Pokazuje 3 typowe punkty styku Twojej restauracji z danymi osobowymi gościa, w których łatwo o błąd, i co konkretnie zmienić, żeby zostać po właściwej stronie kontroli UODO. To kolejny temat z obszaru finansów i ryzyka w gastronomii, gdzie niedopatrzenie może skończyć się karą.

Punkt styku 1: Menu QR i obowiązek informacyjny

Klient skanuje QR kod prowadzący do menu na Twojej stronie. Strona ładuje się w jego przeglądarce. Co się dzieje pod spodem:

• Google Analytics albo inny tracker rejestruje wizytę (adres IP, typ urządzenia, lokalizacja przybliżona).
• Twój serwer zapisuje w logach adres IP klienta (okres przechowywania logów zależy od konfiguracji serwera).
• Jeżeli masz remarketing Facebook/Google Ads, klient zostaje "otagowany" i jego dane idą do platformy reklamowej.

Każdy z tych procesów to przetwarzanie danych osobowych. Klient ma prawo wiedzieć, że to się dzieje, dlaczego, i kto jest administratorem. W praktyce strona z menu QR potrzebuje:

1. Mechanizmu zgody na pliki cookie i podobne technologie, które nie są niezbędne do działania strony (np. analityczne i reklamowe): art. 399 ustawy z 12.07.2024 - Prawo komunikacji elektronicznej wymaga uprzedniej informacji i zgody, z wyjątkiem przypadków, gdy dostęp do informacji jest konieczny do świadczenia usługi żądanej przez użytkownika.
2. Informacji dla odwiedzających o przetwarzaniu ich danych (art. 13 RODO); jej forma, np. polityka prywatności z widocznym linkiem w stopce, to praktyka.
3. Informacja z art. 13 RODO obejmuje m.in. dane administratora (Twoja firma), cele i podstawę prawną przetwarzania, odbiorców danych (np. dostawcę narzędzia analitycznego), okres przechowywania i prawa osoby, której dane dotyczą.

Strona z menu bez informacji o cookies i bez informacji z art. 13 RODO narusza przepisy. Administracyjne kary pieniężne za naruszenie praw osób, których dane dotyczą (art. 12-22 RODO), mogą sięgać do 20 mln EUR albo 4 % rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa (art. 83 ust. 5 RODO); za naruszenie obowiązków administratora z art. 25-39 do 10 mln EUR albo 2 % obrotu (art. 83 ust. 4). Konkretną wysokość ustala organ w każdym przypadku, według kryteriów z art. 83 ust. 2; nie znaleźliśmy wiarygodnych danych o typowych karach dla małej gastronomii, więc ich nie podajemy. Warto pamiętać, że kara finansowa za brak zgodności to tylko jeden z kosztów - sprawdź też, ile kosztuje brak dokumentacji HACCP, bo obie kontrole mogą się nałożyć.

Punkt styku 2: WhatsApp do gości

Coraz więcej restauracji używa WhatsApp do komunikacji z gośćmi: potwierdzenie rezerwacji, informacja o menu dnia, odbiór dań na wynos. Z punktu widzenia RODO:

• Numer telefonu klienta to dana osobowa.
• Zapisanie go w kontaktach albo w spreadsheet to przetwarzanie.
• Wysłanie wiadomości "Dziś polecamy carbonarę" do listy klientów, którzy raz rezerwowali stolik, to marketing - i wymaga osobnej zgody (nie wystarczy zgoda na obsługę rezerwacji). Używanie telekomunikacyjnych urządzeń końcowych, w tym usług komunikacji interpersonalnej, do przesyłania informacji handlowej bez uprzedniej zgody odbiorcy jest zakazane (art. 398 ust. 1 Prawa komunikacji elektronicznej).

Praktyczna ścieżka:

1. Operacyjny WhatsApp (potwierdzenia rezerwacji, kontakt zwrotny). Klient kontaktuje się pierwszy. Twoja podstawa prawna: niezbędność do wykonania umowy (rezerwacji). Nie wymaga osobnej zgody.
2. Marketing WhatsApp (newsletter o ofercie). Wymaga wyraźnej zgody. "Czy chce Pani otrzymywać informacje o menu sezonowym?" przy rezerwacji. Bez "Tak" zaznaczonego - nie wysyłasz.
3. Lista kontaktów w telefonie kelnerki. Jeżeli kelnerka ma swoje kontakty z gośćmi w prywatnym telefonie, to nadal dane gości przetwarzane w ramach Twojej działalności, za które odpowiada administrator, czyli firma; osoba przetwarzająca dane na polecenie administratora działa na podstawie jego upoważnienia (art. 29 RODO), a prywatny telefon utrudnia kontrolę nad tymi danymi. Najlepsza praktyka: WhatsApp Business na firmowy numer, zarządzany centralnie.

Punkt styku 3: Lista mailowa i marketing

Klient zostawił maila przy rezerwacji online (przez ResDiary, TheFork, własny formularz). Wpisałaś go w arkusz Excel "stali klienci". Co dalej:

Bez zgody na przesyłanie informacji handlowej nie możesz mu wysłać oferty świątecznej (art. 398 ust. 1 Prawa komunikacji elektronicznej; przepisów ustawy o świadczeniu usług drogą elektroniczną nie sprawdzaliśmy). Możesz tylko: kontakt operacyjny związany z konkretną rezerwacją.

Jeżeli chcesz wysyłać newsletter z menu sezonowym, musisz mieć dla każdego klienta:

1. Zgodę na otrzymywanie marketingu (osobny checkbox, nie "razem z polityką prywatności"; art. 7 ust. 2 RODO wymaga, by prośba o zgodę była wyraźnie odróżniona od innych kwestii).
2. Możliwość rezygnacji: wycofanie zgody ma być równie łatwe jak jej wyrażenie (art. 7 ust. 3 RODO); link "wypisz mnie" w każdej wiadomości to powszechna praktyka.
3. Zapis zgody: musisz być w stanie wykazać, że osoba ją wyraziła (art. 7 ust. 1 RODO). Data, treść zgody i sposób jej pozyskania to praktyczne minimum; adres IP jest częstym dodatkowym dowodem, ale przepis go nie wymaga.

Excel ze stałymi klientami bez tych elementów to ryzyko naruszenia przepisów. Alternatywą są narzędzia do wysyłki newsletterów (np. Mailchimp, Brevo, ConvertKit), z których wiele pozwala przechowywać zapisy zgód; nie porównywaliśmy ich funkcji, więc sprawdź, czy wybrane narzędzie to umożliwia, i zawrzyj z dostawcą umowę powierzenia (art. 28 RODO). - każdy z nich automatycznie loguje zgody i ułatwia compliance. Prowadzenie rejestrów zgód RODO wymaga podobnej dyscypliny co prowadzenie rejestrów HACCP - w obu przypadkach liczy się systematyczność i daty.

Lista kontrolna RODO dla gastronomii

Lista kontrolna RODO dla małej restauracji (stan na 2026 r.):

1. Sprawdź swoją stronę z menu QR. Czy ma banner cookie? Polityka prywatności w stopce? Jeżeli nie, dodaj. Generator polityki prywatności może pomóc, ale jej treść musi odpowiadać faktycznym procesom w Twoim lokalu (art. 13 RODO).
2. Sprawdź swój WhatsApp. Czy masz osobny firmowy numer (WhatsApp Business), czy używasz prywatnego? Jeżeli prywatny, przejdź na firmowy. Ustaw automatyczną wiadomość powitalną z linkiem do polityki prywatności.
3. Sprawdź swoją listę mailową. Czy klienci dali wyraźną zgodę na marketing? Jeżeli nie, wyślij re-permission email ("przypomnienie - czy nadal chcesz nasz newsletter, kliknij tu jeśli tak"). Klienci, którzy nie klikną - usuwasz z listy.
4. Sprawdź swoją politykę prywatności. Czy wymienia wszystkich podmiotów przetwarzających (Google Analytics, ResDiary, Mailchimp, hosting strony)? Aktualizuj jeśli brakuje.
5. Wyznacz osobę odpowiedzialną za RODO w lokalu (zwykle właściciel albo menadżer). Ta osoba może zajmować się incydentami (np. wyciekiem bazy), zapytaniami klientów ("co o mnie wiecie") i kontaktem z UODO; odpowiedzialność prawna pozostaje jednak po stronie administratora, czyli firmy.

Najczęściej zadawane pytania

Czy mała restauracja musi mieć Inspektora Ochrony Danych (IOD)?

Zwykle nie. RODO (art. 37) nie zawiera żadnego progu liczbowego - obowiązek wyznaczenia IOD zależy od charakteru przetwarzania: dotyczy organów publicznych oraz podmiotów, których główna działalność polega na systematycznym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę szczególnych kategorii danych (np. zdrowotnych). Typowa restauracja nie spełnia żadnego z tych warunków, więc IOD nie musi mieć - ale warto wyznaczyć osobę odpowiedzialną za RODO, typowo właściciela lub menadżera.

Czy zdjęcia z monitoringu w lokalu to dane osobowe?

Tak, wizerunek zarejestrowany na nagraniu jest daną osobową. Monitoring CCTV wymaga podstawy prawnej (najczęściej uzasadniony interes administratora, art. 6 ust. 1 lit. f RODO, w celu ochrony bezpieczeństwa), poinformowania nagrywanych osób zgodnie z art. 13 RODO (w praktyce tabliczka lub piktogram plus dostępna pełna informacja) oraz ograniczenia okresu przechowywania nagrań do tego, co potrzebne do celu (art. 5 ust. 1 lit. e); "typowe 30 dni" to praktyka, nie przepis. Dla pracowników dodatkowo obowiązują przepisy Kodeksu pracy o monitoringu, których nie sprawdzaliśmy.

Czy mogę publikować zdjęcia gości w Instagram Stories?

Co do zasady za zgodą: rozpowszechnianie wizerunku wymaga zezwolenia osoby przedstawionej (art. 81 ust. 1 ustawy o prawie autorskim i prawach pokrewnych), a wizerunek to także dana osobowa. Wyjątek dotyczy m.in. osoby stanowiącej jedynie szczegół całości, takiej jak zgromadzenie, krajobraz, publiczna impreza (ust. 2 pkt 2); czy gość w lokalu się do niego kwalifikuje, wymaga oceny w konkretnym przypadku. W praktyce: zamazujesz twarze, robisz zdjęcia stolika z jedzeniem (bez ludzi), albo pytasz konkretną osobę "czy mogę zrobić zdjęcie i opublikować".

Co jeżeli klient prosi o usunięcie swoich danych?

Na informację o działaniach podjętych w związku z żądaniem masz miesiąc od jego otrzymania, z możliwością przedłużenia o kolejne dwa miesiące przy skomplikowanym żądaniu lub dużej liczbie żądań (art. 12 ust. 3 RODO). Prawo do usunięcia danych (art. 17) ma wyjątki, m.in. gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego (art. 17 ust. 3 lit. b). Usuwasz więc dane z bazy, newslettera i arkusza Excel, zachowując tylko te, które musisz przechowywać z mocy przepisów (np. dokumentacja księgowa i podatkowa; okresów nie sprawdzaliśmy). Potwierdzenie klientowi o wykonaniu żądania to dobra praktyka.

Czy WhatsApp Business jest zgodny z RODO?

To nie jest takie oczywiste. Zwykła aplikacja WhatsApp/WhatsApp Business budzi wątpliwości na gruncie RODO: m.in. kwestia synchronizacji książki adresowej telefonu (czy numery osób, które na to nie wyrażały zgody, trafiają do dostawcy). Nie sprawdzaliśmy tego w dokumentacji Meta. Sprawdziliśmy tylko, że WhatsApp publikuje Business Data Processing Terms, w których występuje jako podmiot przetwarzający wobec firmy, "w zakresie", w jakim wskazują to Business Terms; czy i w jakim zakresie obejmują one aplikację WhatsApp Business, a czy tylko WhatsApp Business Platform (API), tego nie rozstrzygnęliśmy. Przed wyborem rozwiązania sprawdź aktualne warunki Meta. Jeżeli zostajesz przy aplikacji: firmowy numer, wyłączona synchronizacja kontaktów prywatnych, informacja o WhatsApp w polityce prywatności i segregacja kontaktów operacyjnych od marketingowych - to minimum, które ogranicza ryzyko, ale go nie zeruje.

---

Stan prawny na: 4 października 2026
Podstawa prawna: rozporządzenie (UE) 2016/679 (RODO: art. 5, 6, 7, 12, 13, 17, 28, 29, 37, 83); ustawa z 12.07.2024 - Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221, art. 398-399, tekst ogłoszony; nowelizacji z 2025-2026 r. nie sprawdzaliśmy pod kątem tych artykułów); ustawa o prawie autorskim i prawach pokrewnych (tj. Dz.U. 2025 poz. 24, art. 81); warunki WhatsApp Business Data Processing Terms (strona producenta, tylko zakres ogólny). Nie sprawdzaliśmy: ustawy o świadczeniu usług drogą elektroniczną, przepisów Kodeksu pracy o monitoringu, okresów przechowywania dokumentacji księgowej i podatkowej, wytycznych UODO i EROD ani warunków Meta poza wymienionym dokumentem.
Ostatni przegląd: 4 października 2026